La plateforme DevOps GitLab vient de corriger une vulnérabilité baptisée CVE-2026-110264, d’un score CVSS de 10/10. Elle datait de 2014. Cette faille de gravité maximale permet à des personnes non authentifiées d’exécuter du code arbitraire sur des serveurs GitLab autogérés, dans certaines conditions, « en raison d’un débordement d’entier lors de la compilation d’une expression régulière spécialement conçue ».

S’il n’y a aucune tentative d’exploitation repérée pour l’instant, il faut s’attendre à ce que des pirates se mettent à rechercher les instances vulnérables. L’éditeur recommande d’installer l’une des versions corrigées au plus vite. Les correctifs sont disponibles dans les versions 19.5.1, 19.4.3 et 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13. Par ailleurs, les services gérés par GitLab, notamment GitLab.com et GitLab Dedicated, sont déjà protégés.

La vulnérabilité CVE-2026-110264 a été repérée par un chercheur, via un programme de prime aux bugs (Bug Bounty) organisé par GitLab : HackerOne.

Il y a une dizaine de jours, le média Bleeping Computer rapportait une autre vulnérabilité critique d’exécution de code à distance dans GitLab, CVE-2026-97229, également notée 10 sur 10. Le mois dernier, des attaquants ont exploité une autre faille de gravité maximale dans GitLab CE et EE : CVE-2026-85706.

Pour rappel, la société GitLab revendique 50 millions d’utilisateur·rice·s, dont plus de 50% des entreprises du classement Fortune 100.

Nos lecteurs ont lu ensuite